Organisaation tulisi arvioida ja dokumentoida toiminnanohjausjärjestelmänsä varajärjestelmien tarve. Arvioinnin tulisi perustua riskianalyysiin, jossa otetaan huomioon paikalliset olosuhteet ja järjestelmän vian mahdolliset seuraukset. Näin varmistetaan, että kriittiset toiminnot voidaan ylläpitää, vaikka osa järjestelmästä menisikin epäkuntoon.

Yleiset vikakohdat, kuten jaetut palveluntarjoajat tai fyysiset kaapelikanavat, on tunnistettava. Luokan 2 ja 3 laitosten operatiivisten ohjausjärjestelmien on oltava redundantteja paikalliseen ohjauskeskukseen asti, jotta tunnistetut vikakohdat voidaan ottaa huomioon. Redundantit tietoliikenneyhteydet on erotettava fyysisesti toisistaan, jotta yksittäinen vika ei vaikuta molempiin.

Organisaation tulisi siksi arvioida paikallisen ohjauskeskuksen komponenttien redundanssin tarvetta. Tässä arvioinnissa tulisi tunnistaa mahdolliset yksittäiset vikakohdat ja määrittää, mitkä toimenpiteet ovat tarpeen kriittisten toimintojen jatkuvan toiminnan varmistamiseksi vikatilanteessa.

Organisaation tulisi laatia kirjallinen menettelytapa, joka koskee ulkoisia yhteyksiä toiminnanohjausjärjestelmään. Menettelytavan tulisi sisältää vähintään seuraavat seikat:

• Tarpeen mukaiset säännöt yhteyksien avaamisesta ja sulkemisesta.
• Määritelmä siitä, mikä on turvallinen sijainti ulkoisille yhteyksille.
• Vaatimus siitä, että operatiivinen keskus on miehitettynä toimittajien yhteyksien aikana.
• Menettely, jolla hankitaan valtuutetun henkilön lupa ennen laitosten ohjaamista.
• Kielto jakaa käyttäjätunnuksia.

Organisaation on määriteltävä ja dokumentoitava turvallisuustoimenpiteet luokan 1 laitoksille. Toimenpiteiden on varmistettava, että tilat on suunniteltu tavanomaisen turvallisuustason mukaisesti, että vauriot ja toimintahäiriöt havaitaan kohtuullisessa ajassa sekä että korjaukset ja toiminnan palauttaminen tapahtuvat ilman aiheetonta viivettä.

Seuraaviin laitostyyppeihin sovelletaan erityisvaatimuksia:

• Sähköasemat, kytkentäasemat, voimalaitokset ja kaukolämpölaitokset: Pääsyrajoitetut alueet, joissa on vakiintunut fyysinen turvallisuus ja palontorjunta, erilliset pääsyrajoitetut alueet ohjaus-, hallinta- ja viestintähuoneille sekä vähintään 24 tunnin toiminta-ajan takaava varavoima.
• Käyttöohjausjärjestelmät: Vakiotason palo- ja murtohälytysjärjestelmät, 24 tunnin varavoimajärjestelmä (UPS ja siirrettävä generaattori), kriittisten toimintojen varasuunnitelmat sekä ennakoitavissa olevilta uhilta suojatut viestintäjärjestelmät.
• Voimajohdot: Riskipohjaiset turvallisuus- ja varautumistoimenpiteet, jotka on räätälöity paikallisiin olosuhteisiin ja yhteiskunnalliseen merkitykseen.

Vaihtoehtoiset toimenpiteet ovat hyväksyttäviä, jos vastaava turvallisuustaso on dokumentoitu.

Luokan 2 laitoksia ylläpitävien organisaatioiden tulee dokumentoida käytössä olevat turvatoimenpiteet, joilla varmistetaan keskitasoinen tai korkea suojaus, rajoitetaan elintärkeiden toimintojen menetystä ja nopeutetaan toimintojen palauttamista vahinkotilanteissa.

Seuraaviin laitostyyppeihin sovelletaan erityisvaatimuksia:

• Sähköasemat ja kytkinlaitteet: Hälytysjärjestelmät, joihin reagoidaan, rakenteellinen suojaus, pääsyä valvottavat ohjaushuoneet, suljetut muuntajat, aseman virransyötön ja komponenttien varajärjestelmät, varavirransyöttö (vähintään 2 päivää).
• Voimalaitokset: Suojattu alue, jossa on lukittavat teräsportit, vankat rakennukset, palo-osastot, varajärjestelmät (turbiineja ja generaattoreita lukuun ottamatta), kahden päivän varavoima, vähintään yksi black-start-generaattori.
• Käyttöohjausjärjestelmät: palo- ja murtohälytyssuojatut ohjauskeskukset erillisissä pääsyä valvotuissa palokammioissa, varajärjestelmät, kaksi itsenäistä virtalähdettä, joissa on 6 tunnin UPS ja 2 päivän kokonaiskäyttöaika (jopa 14 päivää vaikeapääsyisillä kohteilla), kriittisten toimintojen varajärjestelmät, suojatut tietoliikenneyhteydet.
• Voimajohdot ja kaapelit: Riskipohjaiset turvatoimenpiteet, kriittisten kaapelikomponenttien suojaus tai turvallinen varastointi sekä menetetyn toimintakyvyn nopea palauttaminen.
• Kaukolämpö: Voi olla sovellettavissa hätätilanneviranomaisen asettamia erityisiä suojausvaatimuksia.

Vaihtoehtoiset toimenpiteet ovat sallittuja, jos vastaava turvallisuustaso voidaan dokumentoida.

Organisaation on laadittava ja dokumentoitava turvallisuustoimenpiteet luokan 3 tiloille. Toimenpiteiden on varmistettava, että tilat on suunniteltu korkean turvallisuustason mukaisesti, että elintärkeät toiminnot säilyvät poikkeustilanteissa ja että toimintakyky palautuu ilman aiheetonta viivettä.

Seuraaviin laitostyyppeihin sovelletaan erityisvaatimuksia:

• Sähköasemat ja kytkentäasemat: Tehokas havaitseminen ja nopea reagointi, fyysinen alueiden suojaus riittävällä etäisyydellä rajoittamattomista alueista, kriittisten komponenttien korkean turvallisuustason suojaus, kaksoisraudoitetulla betonilla suojatut päämuuntajat, redundantit itsenäiset kaapelireitit, ensisijaisten komponenttien redundanssi, aseman redundantti virransyöttö (kaksi alijärjestelmää, joissa on 6 tunnin UPS, 3 päivän kiinteä generaattori, pikaliitettävä siirrettävä generaattori) sekä geomagneettisesti indusoitujen virtojen vaimennus.
• Voimalaitokset: Elintärkeät komponentit suojatuissa kallioluolissa korkean turvallisuustason alueella, korkea palonkestävyys ja osastointi, erilliset pääsyvalvotut ohjaushuoneet, redundantit itsenäiset kaapelireitit, redundantti laitoksen virransyöttö (kaksi alijärjestelmää, joissa on 6 tunnin UPS, 3 päivän kiinteä generaattori, pikaliitännällä varustettu siirrettävä generaattori) sekä vähintään yksi black-start- ja saarekekäyttöön kykenevä yksikkö.
• Käyttöohjausjärjestelmät: Vankat palo- ja murto-suojatut ohjauskeskukset erillisinä, kulunvalvotuina palo-osastoina, täysin redundantit komponentit ja reitit, redundantti aseman virransyöttö (kaksi alijärjestelmää, joissa on 6 tunnin UPS, 3 päivän kiinteä generaattori, pikaliitännällä varustettu siirrettävä generaattori), hätäoperaatiohuone tai vaihtoehtoinen sijainti kriittisille toiminnoille sekä vankat viestintäjärjestelmät, joiden hätävirransyöttö kestää 3 päivää (jopa 30 päivää vaikeapääsyisillä kohteilla).
• Voimajohdot ja kaapelit: Riskipohjaiset turvatoimenpiteet, kriittisten kaapelikomponenttien suojaus tai turvallinen varastointi varakaapelin saatavuuden varmistamiseksi sekä menetetyn toiminnallisuuden nopea palauttaminen.

Redundanssi tulisi saavuttaa elektronisen, sähköisen ja fyysisen erottelun avulla, mikäli mahdollista. Vaihtoehtoiset toimenpiteet ovat hyväksyttäviä, jos yhtä korkea turvallisuustaso voidaan dokumentoida. Norjalaisten standardien käyttö vaatimustenmukaisuusprosesseissa tulisi dokumentoida, mikäli se on asiaankuuluvaa.

Organisaation tulisi laatia ja dokumentoida menettely, jolla varmistetaan, että vain valtuutettu henkilöstö suorittaa operatiivisia valvontatehtäviä. Menettelyssä on nimenomaisesti kiellettävä ulkoisilta toimittajilta, joita ei ole nimetty KBO-yksiköiksi, näiden tehtävien suorittaminen. Tätä rajoitusta tulisi valvoa toimittajasopimusten ja teknisten pääsynvalvontatoimenpiteiden avulla.

Organisaation tulisi laatia ja ylläpitää dokumentoituja turvallisuussääntöjä toimintavalvontajärjestelmäänsä varten. Nämä säännöt ovat välttämättömiä sen varmistamiseksi, että virransyötön valvonta ja hallinta suoritetaan turvallisesti.

Säännöt on tarkistettava vähintään kerran vuodessa, ja niiden on katettava muun muassa seuraavat seikat:

• Käyttö
• Kehitys
• Käyttö
• Järjestelmän ylläpito
• Järjestelmän turvaaminen

Säännöt on tarkistettava vähintään kerran vuodessa sen varmistamiseksi, että ne tukevat vaatimustenmukaisuutta ja suojaavat toiminnallista valvontajärjestelmää asianmukaisesti.

Organisaation tulisi laatia ja ylläpitää kattava yleiskatsaus kaikista toiminnanohjausjärjestelmän osalta toteutetuista turvatoimenpiteistä. Tätä dokumentaatiota tulisi pitää ajan tasalla, ja siinä tulisi kuvata yksityiskohtaisesti järjestelmän suojaamiseksi käytössä olevat tekniset, fyysiset ja organisatoriset suojatoimenpiteet. Yleiskatsaus toimii keskeisenä viiteaineistona auditointeja, poikkeustilanteiden hallintaa ja järjestelmän ylläpitoa varten.

Organisaation tulisi luoda menettelytapa toiminnanohjausjärjestelmien muutosten hallitsemiseksi. Menettelytavan tulisi varmistaa, että kaikki muutokset arvioidaan, testataan ja hyväksytään ennen niiden käyttöönottoa, jotta vältetään tahattomat virheet ja uudet haavoittuvuudet. Kaikki muutokset, mukaan lukien niiden arviointi ja hyväksyntä, tulisi dokumentoida.

Toiminnallisten valvontajärjestelmien muutokset voivat liittyä esimerkiksi seuraaviin seikkoihin:

• Käyttäjien pääsy
• Toimittajien ja komponenttien/laitteiden toimitukset
• Viestintäjärjestelmiin
• Redundanssi- ja varmuuskopiointikokoonpanot
• EMP/EMI-haavoittuvuuksien hallinta
• Varakontrollikeskukset

Organisaation tulisi arvioida toimintansa ohjausjärjestelmien alttius sähkömagneettiselle pulssille (EMP) ja sähkömagneettisille häiriöille (EMI). Arvioinnin perusteella organisaation tulisi päättää tarvittavista turvallisuus- tai varautumistoimenpiteistä ja toteuttaa ne.

Organisaation tulisi toteuttaa toimenpiteitä, joilla estetään yksittäisen järjestelmävirheen vaikutus kaikkiin identtistä tekniikkaa käyttäviin, toisistaan riippuvaisiin järjestelmiin. Tämä edellyttää menettelytapojen laatimista, joilla varmistetaan, että muutokset – kuten ohjelmistopäivitykset, korjauspäivitykset tai konfiguraatiomuutokset – otetaan käyttöön porrastetusti eikä niitä koskaan sovelleta identtisiin järjestelmiin samanaikaisesti.

Organisaation tulisi toteuttaa suojatoimenpiteitä vähintään yhdelle viestintäyhteydelle, joka johtaa toiminnanohjausjärjestelmän hallinnoimiin kriittisiin laitoksiin. Toimenpiteisiin voi kuulua suojattujen kaapeleiden käyttö, laitteiden sijoittaminen suojattuihin koteloihin tai asianmukaisen maadoituksen varmistaminen suojautumiseksi sähkömagneettisilta pulssilta ja häiriöiltä.

Organisaation on perustettava ja ylläpidettävä varavalvontakeskus toiminnanohjausjärjestelmiä varten. Tämän keskuksen on sijaittava riittävän etäisyydellä päävalvontakeskuksesta, jotta yksittäinen häiriö ei voi vaikuttaa molempiin.

Varakeskuksen on oltava täysin varustettu toimimaan itsenäisesti ja hoitamaan kaikki tarvittavat operatiiviset valvontatoiminnot. Sen käyttövalmius on pidettävä yllä jatkuvasti.

Organisaation tulisi arvioida vuosittain toimintakeskuksen henkilöstötarpeet sen varmistamiseksi, että keskuksessa voidaan ylläpitää ympärivuorokautista miehitystä. Arvioinnissa on myös tarkasteltava, ovatko nykyiset miehitys- ja päivystysjärjestelyt riittävät tilanteiden nopeaan eskalointiin. Arviointi on dokumentoitava, mukaan lukien mahdolliset päätökset henkilöstömäärän lisäämisestä tai työvuorojärjestelyjen muuttamisesta.

Organisaation tulisi perustaa kriittisiä toimintoja, turvallisuutta ja palautustoimia varten matkaviestinverkko, joka toimii julkisten viestintäpalveluista riippumattomasti ja toimii muiden viestintäjärjestelmien varajärjestelmänä.

Verkon on tuettava:

• riittävän peiton kaikille laitoksille
• Laitteiden välinen viestintä, ryhmälähetykset ja yhteispuhelut
• Vähintään 48 tunnin varavirtalähteen, jossa on automaattinen käynnistys
• Laitteet on huollettava siten, että ne ovat jatkuvasti käyttövalmiudessa

Suunnitelmaan on sisällytettävä huoltomenettelyt, varaosien ja asiantuntemuksen saatavuus sekä henkilöstön koulutus.

Digitaaliset tai IP-pohjaiset radioverkot on suojattava luvattomalta pääsyltä, haittaohjelmilta ja vihamielisiltä haltuunotoilta asianmukaisilla teknisillä ja organisatorisilla suojatoimenpiteillä. Jos verkko jakaa tiloja salaisiksi luokiteltujen operatiivisten ohjausjärjestelmien kanssa, sovellettavat suojausvaatimukset on täytettävä.

Organisaation on varmistettava, että luokan 3 toiminnanohjausjärjestelmien viestintäreitit on suunniteltu turvallisiksi ja vakaiksi. Tähän sisältyy redundanssin toteuttaminen siten, että reittien välillä on riittävä fyysinen etäisyys, jotta voidaan vähentää esimerkiksi tulipalon, huonon sään tai merkittävien teknisten vikojen aiheuttamia riskejä.<(/p>

Organisaation on pidettävä jokaisessa luokan 3 laitoksessa täysi hallinta ja määräysvalta vähintään yhdestä täydellisestä viestintäreitistä ja varmistettava, että se on asianmukaisesti suojattu. Redundanssi- ja etäisyysvaatimusten tulisi koskea sekä viestintäreittejä että muita redundantteja alijärjestelmiä.

Varmista, että kaikki lääkinnälliset laitteet ja hyvinvointiteknologiat, jotka käsittelevät terveys- tai henkilötietoja, on täysin integroitu organisaation tietoturvan ja yksityisyyden hallintaan. Tähän sisältyy:

• Riskinarviointien tekeminen
• asianmukaisen pääsynvalvonnan toteuttaminen
• muutoksenhallintamenettelyjen soveltaminen
• selkeiden käyttömenettelyjen käyttöönotto

Näitä teknologioita on hallinnoitava samojen turvallisuus- ja yksityisyydensuojavaatimusten mukaisesti kuin kaikkia muitakin tietojärjestelmiä.

Organisaation olisi laadittava prosessi internetiin liitettyjen laitteiden, kuten lääkinnällisten laitteiden, hallintaa varten. Prosessilla olisi varmistettava, että tällaiset laitteet sisällytetään riskinarviointeihin ja että tarvittavat turvatoimet toteutetaan. Tähän kuuluu pääsynvalvonnan, käyttömenettelyjen, teknisten suojatoimien ja kirjaamisen käyttöönotto, jotta estetään tietojen luvaton käyttö ja luovuttaminen.

Organisaatio tarvitsee käytännöllisiä palautusmenetelmiä operatiivisen teknologian ympäristöihin, joissa käytettävyyden ylläpitäminen on tärkeää. Nämä menetelmät auttavat varmistamaan, että OT-järjestelmät voidaan palauttaa nopeasti ja turvallisesti häiriöiden ilmetessä, mikä tukee liiketoiminnan yleistä jatkuvuutta.

• Tunnista OT-järjestelmät ja -komponentit, jotka vaativat nopeaa palautusta niiden toiminnallisen merkityksen ja liiketoiminnan jatkuvuuden tarpeiden perusteella.
• Luo ja ylläpidä luotettavia varmuuskopioita konfiguraatiotiedostoista, logiikasta, laiteohjelmistoversioista ja muista asetuksista, joita tarvitaan OT-laitteiden palauttamiseen ilman järjestelmän täydellistä uudelleenrakentamista.
• Toteuta asianmukaiset redundanssi- tai vikasietoisuusvaihtoehdot, kuten varajärjestelmät, peililaitteet tai valmiiksi konfiguroidut varalaitteet, jotka ovat valmiina käyttöönotettaviksi.
• Kehitetään yksinkertaisia ja nopeita palautusvaiheita, joiden avulla OT-tiimit voivat palauttaa laitteet tai järjestelmät verkkoon mahdollisimman pienellä seisokkiajalla.
• Testaa palautusmenetelmiä suunnitelluin väliajoin varmistaaksesi, että varmuuskopiot ovat käyttökelpoisia, että varajärjestelmät toimivat tarkoitetulla tavalla ja että palautusvaiheet ovat tarkkoja.
• Päivitä palautusmenetelmät aina, kun OT-järjestelmiin, laitekokoonpanoihin tai liiketoiminnan jatkuvuusvaatimuksiin tehdään muutoksia.

Näillä toimenpiteillä varmistetaan, että OT-ympäristöt säilyttävät korkean käytettävyyden ja että kriittiset toiminnot voivat palautua nopeasti vikojen tai häiriöiden aikana.

Organisaation tietoturvapolitiikassa on määriteltävä järjestelmän laajuus. Tietoturvapolitiikassa on määriteltävä erityisesti seuraavat asiat:

• keitä tietoturvapolitiikka koskee
• mitä omaisuuseriä se kattaa
• mitkä sijainnit kuuluvat politiikan piiriin
• mitä toimintoja se kattaa
• yhdennetyn hallinto- ja valvontajärjestelmän tietoverkkoturvallisuusnäkökohtien vastuut ja roolit.

Organisaatiolla olisi oltava tarkistusprosessi operatiivisten järjestelmiensä turvallisuustason arvioimiseksi. Arvioinnin olisi katettava sekä laitteistot että ohjelmistot, järjestelmäsuunnittelu, verkkorajapinnat ja tukisovellukset. Tarkoituksena on tunnistaa puutteet operatiivisten järjestelmien turvallisuudessa ja hahmotella tarvittavat muutokset ja parannukset. Prosessin olisi katettava myös uusien IACS-laitteiden valinta ja turvallinen käyttöönotto.

Organisaation olisi perustettava liiketoiminnan jatkuvuusryhmä, johon kuuluu nimetty ryhmän johtaja, yhdennetty hallinto- ja valvontajärjestelmäasiantuntija ja keskeisten prosessien omistajia muilta kriittisiltä alueilta.

Liiketoiminnan jatkuvuusryhmän vastuualueet olisi määriteltävä selkeästi merkittävän häiriötilanteen varalta, jotta varmistetaan, että sillä on valtuudet tehdä tärkeitä päätöksiä kriittisissä tilanteissa.

Vastuualueisiin tulisi kuulua esimerkiksi

• kriittisten toimintojen (tai järjestelmien) tärkeysjärjestyksen määrittäminen toiminnan jatkamista varten.
• päätösten tekeminen resurssien jakamisesta toiminnan palauttamista varten.
• yhteydenpito muihin osapuoliin

Johdon olisi määriteltävä sidosryhmäryhmän kokoonpano (esim. ne, jotka ovat vastuussa organisaation turvallisuuden tietyistä näkökohdista). Ryhmä tarvitsee myös asianmukaista asiantuntemusta sellaisilta aloilta, joihin yhdennetyn hallinto- ja valvontajärjestelmän turvallisuus vaikuttaa. Ryhmällä olisi oltava sekä tietoturvan että aihepiirin asiantuntemusta ja asianmukaiset valtuudet tehdä päätöksiä.

Organisaation olisi arvioitava ja dokumentoitava perusteet, joiden perusteella käyttöoikeudet myönnetään yksittäisten tilien ja ryhmätilien avulla teollisuuden ohjausjärjestelmäympäristössä. Arvioinnissa on otettava huomioon tavanomaisten tietoturvauhkien, -riskien ja -haavoittuvuuksien lisäksi myös laajemmat vaikutukset, kuten seuraavat:

• Virheellisiin tai liian laajoihin käyttöoikeuksiin liittyvät terveys-, turvallisuus- ja ympäristöriskit.
• Fyysiset turvavalvontatoimet, jotka voivat lieventää pääsyriskejä.
• vastuuvelvollisuus- ja jäljitettävyystarpeet (esim. yksittäisten toimien on oltava tarvittaessa tarkastettavissa).
• Hallinnolliset ja toiminnalliset rajoitukset (esim. hallinnoinnin helppous, henkilöstömuutokset, pääsy hätätilanteessa).